如何通过PowerShell 7设置Windows证书存储中证书的权限

旧方案依赖将证书PrivateKey属性强转为RSACryptoServiceProvider类型，在PowerShell 7中证书私钥默认返回RSACng类型，强转逻辑直接失效。不需要绑定特定私钥类型，直接通过私钥对应的物理文件配置ACL即可，该方案同时兼容新旧PowerShell版本、CSP/CNG两类密钥存储提供程序。

操作步骤 #

• 获取目标证书对象
  以管理员身份启动PowerShell 7，从证书存储中筛选出需要配置权限的证书，示例为取本地计算机个人存储区指定指纹的证书：

  # 将指纹替换为目标证书的实际指纹
  $targetCert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object Thumbprint -eq '证书指纹'
  if (-not $targetCert.HasPrivateKey) {
      throw "选中的证书无关联私钥，无法配置权限"
  }
  

• 解析私钥对应的物理文件路径
  不要直接读取PrivateKey属性，通过GetRSAPrivateKey()方法获取私钥对象，自动适配不同类型的私钥实现，再根据密钥类型拼接私钥文件的实际存储路径：

  $rsaKey = $targetCert.GetRSAPrivateKey()
  $keyStoragePath = $null
  
  # 兼容旧版CSP类型私钥
  if ($rsaKey -is [System.Security.Cryptography.RSACryptoServiceProvider]) {
      $keyContainerInfo = $rsaKey.CspKeyContainerInfo
      $keyFileName = $keyContainerInfo.UniqueKeyContainerName
      # 本地计算机存储的私钥默认路径
      $keyStoragePath = Join-Path $env:ProgramData "Microsoft\Crypto\RSA\MachineKeys\$keyFileName"
  }
  # 兼容PowerShell 7默认返回的CNG类型私钥
  if ($rsaKey -is [System.Security.Cryptography.RSACng]) {
      $keyFileName = $rsaKey.Key.UniqueName
      # CNG类型私钥默认存储路径
      $keyStoragePath = Join-Path $env:ProgramData "Microsoft\Crypto\Keys\$keyFileName"
  }
  
  if (-not (Test-Path $keyStoragePath)) {
      throw "无法定位到证书关联的私钥文件，请确认当前账号有私钥读取权限"
  }
  

• 配置私钥访问权限
  拿到私钥文件路径后，和普通Windows文件的ACL配置逻辑完全一致，按需添加/移除对应账号的访问权限即可。示例为给指定IIS应用程序池授予私钥读取权限：

  # 读取私钥文件现有ACL配置
  $keyAcl = Get-Acl -Path $keyStoragePath
  # 定义访问规则：参数依次为目标账号、权限范围、允许/拒绝
  $newAccessRule = [System.Security.AccessControl.FileSystemAccessRule]::new(
      "IIS AppPool\替换为实际应用程序池名称",
      "ReadAndExecute",
      "Allow"
  )
  $keyAcl.AddAccessRule($newAccessRule)
  # 将更新后的ACL写回私钥文件
  Set-Acl -Path $keyStoragePath -AclObject $keyAcl
  

注意：如果操作的是当前用户证书存储区（Cert:\CurrentUser\My）下的证书，私钥默认存储在$env:APPDATA\Microsoft\Crypto对应的子目录下，不需要管理员权限即可操作；操作本地计算机存储区的证书私钥必须持有管理员权限，否则会抛出访问拒绝错误。

内容的提问来源于stack exchange，提问作者Mark Raymond